Vulnerabilidad · Publicado 20/10/2026
Una vulnerabilidad en Kubernetes permite que tenants con permisos de creación en recursos Console especifiquen imágenes arbitrarias de contenedores, que son desplegadas con privilegios de ClusterRole. El operador afectado obtiene acceso cluster-wide a recursos Strimzi (KafkaUsers, Kafkas) y permisos de monitoreo, permitiendo escalada de privilegios en infraestructuras compartidas. Esta exposición es crítica en entornos multi-tenant comunes en centros de datos y nubes públicas en LATAM.
A Kubernetes tenant with create permission on Console custom resources can set spec.containers.api.spec.image to an arbitrary container image. The operator deploys this image into a pod whose ServiceAccount is bound via ClusterRoleBinding to a ClusterRole granting cluster-wide get/list/watch on all Strimzi CRDs (including KafkaUsers), patch on Kafkas/KafkaRebalances, and cluster-monitoring-view. The attacker's code reads the projected SA token and gains cross-tenant Strimzi control-plane read+write access.
Score: 9.9/10 — Severidad: CRITICAL — Estado NIST: Received
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:L
CWE-269
Publicado en NIST NVD.